Il s'agit de trouver un compromis entre sécurité et liberté d'action pour les bénévoles. Autant, l'association se doit d'assurer un certain niveau de sécurité de ses infrastructures et moyens de communication, autant il serait dommageable que l'association périclite par manque de confiance ou de transparence sur la façon d'obtenir des accès. Il est important qu'aucun compte ARN ne devienne inaccessible du fait de l'absence d'une personne.

Au sein d'Alsace Réseau Neutre, trois personnes du Conseil d'Administration possèdent une copie des trousseaux de mot de passe complet. Actuellement (Septembre 2020) il s'agit de: *optogram *ljf *gaut

L'objectif est d'éviter que l'association soit paralysée suite à la perte d'un mot de passe ou la non disponibilité d'une personne possédant le mot de passe. Nous avons estimé que trois personnes permettaient d'assurer une résilience correcte.

Pour obtenir un accès, il convient d'en faire la demande à l'une de ces 3 personnes ou directement au CA. Aucun accès ne doit être donné par une autre personne ou obtenu autrement.

L'obtention de nouveaux accès dépend notamment de :

• l'implication dans l'association
• la réalisation effective des précédents chantiers ayant nécessité l'obtention d'un accès
• la signature de la charte de l'adminsys ARN (le cas échéant)

En cas de renouvellement, le nouveau mot de passe n'est transmis que si la personne en a encore besoin (par exemple si elle compte se charger de maintenir le service). La semaine qui suit l'assemblée générale, un point est fait afin de vérifier qu'il n'y a pas de personnes ayant des accès alors qu'elles ne sont plus actives.

Il existe 5 trousseaux :

• Trousseau “Communication”
• Trousseau “EducPop”
• Trousseau “Natta”
• Trousseau “Sans-nuage”
• Trousseau “Infra Administratif”
• Trousseau “Infra Technique”

Ceux-ci sont synchronisés sur le nextcloud de l'association afin de simplifier l'échange de mot de passe. Les personnes très impliquées sont susceptibles d'avoir accès à l'ensemble des trousseaux des groupes dans lesquels ils ou elles agissent.

La transmission d'un mot de passe à une personne peut se faire IRL ou par mail chiffrée ET en utilisant notre lufi https://hub.netlib.re/lufi/ avec l'option de péremption du lien.

Une fois l'accès transmis il convient de le signaler dans le post de forum “Suivi des accès” et si besoin sur la page https://wiki.arn-fai.net/benevoles:procedures:liste_adminsys .

En aucun cas les mots de passe ne peuvent être stockés en clair sur les machines d'un⋅e adhérant⋅e. De même, les adminsys sont invités à placer une phrase de passe sur leur clé SSH.

En cas d'exposition (vol de machine, keylogger …), merci de prévenir le CA le plus vite possible.

Si une personne n'agit plus pour l'association depuis 6 mois, n'importe quel admin est légitime pour enlever les accès.

Une discussion sur le forum pour avancer sur le sujet : https://forum.arn-fai.net/t/harmonisation-simplification-et-documentation-des-acces-admins[/9195/1

Liste des adminsys d'ARN et leurs droits